ISO 27001 sertifitseerimismenetluse suurimad väljakutsed

Enam kui 200 infoturbe sertifitseerimisauditi tulemused aitavad mõista, mis läheb hästi ja kus on veel arenguruumi.

Aastatel 2018-2019 viis EY CertifyPoint läbi üle 200 infoturbeauditi rohkem kui 65 erineva suurusega ja erinevates sektorites tegutseva kliendi juures. Sertifitseerimisauditite käigus tehtud tähelepanekute ja leitud tugevuste analüüs ning andmed sertifitseerimisulatuse ja selle muutumise kohta aastate jooksul on andnud meile hea ülevaate erinevate sektorite hetkeolukorrast, tüüpilistest väljakutsetest ja kitsaskohtadest infoturbe halduse süsteemi rakendamisel.

Muutused sertifitseerimisulatuses:

Aastatel 2018–2019 suurendas 48% ettevõtetest oma infoturbe halduse süsteemi rakendusalasse jäävate asukohtade arvu ning 67% ettevõtetest rakendusalasse jäävate täistööajaga töötajate arvu.

Ettevõtte suuruse ja keerukuse kasvades muutub infoturbesüsteemide rakendusala haldamine ning olemasolevate protsesside ja süsteemide integreerimine uute valdkondadega (nt toodete, teenuste, asukohtade, inimeste, osakondade, funktsioonide, uuenduste, töövahendite, majandusüksuste, ettevõtetega) üha keerulisemaks.

Mis läheb hästi?

Tulemuste analüüsist selgus, et infoturbe halduse süsteemide kaks peamist tugevust olid järgmised:

1. Tippjuhtkonna kaasatus ning pühendumine infoturbe ja küberturvalisuse parandamisele

Ettevõtete tippjuhtkonnad on protsessi pidevalt kaasatud ning pühendunud infoturbe ja küberturvalisuse juhtimisele. Näiteks on nad püüdnud ühitada infoturbe ja küberturvalisusega seotud tegevused äriliste eesmärkidega või muuta infoturbeprotsessid äriprotsesside olemuslikuks osaks. See peab paika nii suurte, keskmise suurusega kui ka väikeste ettevõtete puhul.

2. Infoturve tarnijasuhetes

Infoturbe haldamisega tarnijasuhete puhul saadi kõigis ettevõtetes ühtviisi hästi hakkama. Näiteks on tarnijatele esitatavad turvanõuded nendega sõlmitud lepingutes alati täpselt määratletud ja dokumenteeritud.

Kus on veel arenguruumi?

Juhtimise ja turvameetmete seisukohast pakkusid enim väljakutseid kolm järgmist valdkonda:

1. Riskijuhtimine

Turvariskide hindamine ja käsitlemine olid kõigi ettevõtete jaoks parajaks väljakutseks. Antud valdkond hõlmas näiteks selliseid tegevusi nagu ettevõtte jaoks sobiva riskijuhtimismetoodika väljatöötamine, turvariskide tuvastamine ja hindamine ning nende riskide käsitlemine.

2. Tulemuslikkuse hindamine

Ettevõtete jaoks osutus väljakutseks ka tulemuslikkuse hindamine. Antud valdkond hõlmas näiteks selliseid tegevusi nagu tulemuslikkuse jälgimine, infoturbe halduse süsteemi siseaudit ja juhtkondlik läbivaatus. Tulemuslikkuse hindamine on tõhusa infoturbe halduse süsteemi saavutamise seisukohalt oluline, kuna võimaldab ettevõttel tuvastada süsteemi tugevused ja puudused, tagades nii süsteemi pideva täiustamise ja arengu.

3. Identiteedi- ja pääsuhaldus

Turvameetmete puhul osutus ettevõtete jaoks suurimaks väljakutseks just pääsuhaldus. Tõhus pääsuhaldus on teabe turvalisuse tagamise seisukohast ülioluline, kuna hoiab ära loata juurdepääsu infovaradele ja nende loata kasutamise. Antud valdkonna puhul tehtud tähelepanekud võiks jagada neljaks:

• Ärinõuded: üldised meetmed, nt pääsupoliitika
• Kasutaja pääsuõiguste haldamine: kasutajakesksed meetmed, nt pääsuõiguste läbivaatamine
• Kasutaja kohustused: kasutajate vastutus meetmete rakendamisel
• Süsteem ja rakendused: meetmete rakendamine süsteemi ja rakenduse tasemel

Kolm peamist soovitust ettevõtetele auditite käigus tuvastatud probleemide lahendamiseks on järgmised:

1. Tuleks veenduda, et riskijuhtimismetoodikas kasutatav riskihindamismeetod sobib ettevõtte eesmärkide saavutamiseks. Metoodika võib olla oma olemuselt nii kvantitatiivne kui ka kvalitatiivne. Peamine eesmärk peaks olema tagada, et tippjuhtkonnal oleks hea ülevaade ettevõtte olulisematest riskidest, sest vaid nii saab võtta nende maandamiseks asjakohaseid meetmeid.

2. Määratlema peaks peamised näitajad, mida kasutatakse mitte ainult turvameetmete tõhususe, vaid ka juhtimissüsteemi üldise toimivuse hindamiseks. Meetmete rakendamise jälgimisel peaks vaatlema ühtse tervikuna kõiki infoturbe halduse süsteemi meetmeid ja eesmärke. Siseaudit peaks katma kogu sertifitseerimisulatuse (või ettevõtte). Seiretegevuse ja auditite tulemustest tuleks tippjuhtkonnaga regulaarselt rääkida, et saada neilt tagasisidet tegevuste edasiseks suunamiseks.

3. Identiteedi- ja pääsuhalduse tõhustamiseks tuleks järgida järgmiseid põhimõtteid:

• Keskne lähenemine
• Nullusaldusel põhinev identiteedihaldus
• Minimaalõiguste printsiip
• Haldustegevuste automatiseerimine
• Kontrollimine ja ülekontrollimine
• Multiautentimine
• Aktiivse kasutajata kontodega tegelemine